hillstone山石网科sg-6000-x6150防火墙评测报告

《hillstone山石网科sg-6000-x6150防火墙评测报告》由会员上传分享，免费在线阅读，更多相关内容在应用文档-天天文库。

1、Hillstone山石网科SG-6000-X6150防火墙评测报告作者老韩

2、2010-10-1411:38

3、类型互联网,弯曲推荐,研发动态,网络安全

4、75条用户评论»4年时间完成从0到100G的跨越，山石网科让人无话可说。再过4年，中国信息安全行业的格局是否会被改变？10月21日，山石网科将在北京正式发布这款百G级别的产品，感兴趣的话可以猛击这里查看官方专题页。原文发布于《计算机世界》。本文尽量注意在正文中不出现带有个人感情色彩的语言；另一方面，拓展表现形式，用视频保存下测试中的经典瞬间，编辑后以更易于接受、传播的方式加以体现。（对于镜头晃动带来的眩晕感我非常抱歉，此外请忽略鼻炎导致

5、偶发的怪腔怪调……）Hillstone山石网科（以下简称“山石网科”）是一个令人惊叹的安全企业。自成立以来，该公司保持着稳定、高速的产品研发速度，有步骤地推出了一系列多功能安全网关产品，占据了市场先机。但所有这些产品，其形态都属于“盒子（Appliance）”的范畴，固化的业务处理单元决定了其防火墙性能无法突破20G这条水平线。而在云计算从未来时发展为现在进行时的今天，运营商、金融、教育等大型行业用户有了更高的业务需求，百G级别的防火墙在骨干网、数据中心等环境开始进入实际应用阶段。为了应对新的需求变化，山石网科又于近期推出了SG-6000-X6150（以下简称X6150）高性能防火墙

6、，我们也在第一时间对该产品进行了测试分析。为了达到百G级别的处理能力，X6150改用“机框（Chassis）”式产品形态，实现了可插拔部件全冗余及业务的智能分布式处理。该产品采用5U规格设计，共内置了12个扩展槽位，其中10个可用于接口模块（IOM）、安全服务模块（SSM）或QoS服务模块（QSM），2个用于系统主控模块（SCM）。设备亦采用了高速大容量交换背板，为每个模块提供了足够大的数据通路。对于高端电信级产品来说，供电子系统与散热子系统的重要性亦不容忽视。X6150最多可内置4个电源模块（650W），支持双路主备冗余部署，加上具有热插拔特性的风扇模组，可以最大程度地保障系统的稳

7、定运行。多核PlusG2的高级形态目前，通过单独的处理器还很难达到百G级别的防火墙性能，业务的分布式处理是目前市场上百G防火墙产品的主流选择。不同厂商必然有着不同的系统实现方式，对于山石网科来说，经过多次发展演变的多核PlusG2架构则是X6150实现智能分布式处理的基础。在首批发布的安全网关产品中，山石网科定义了以交换为核心的多核Plus系统架构。由于业务处理单元和接口都采用固化设计，无法实现接口和处理能力的扩展。而其随后推出的一系列采用多核PlusG2架构的产品中，交换背板的重要性有了显著提升。以去年我们测试过的SG-6000-G5150为例，模块化设计是当时该产品最吸引人的特性

8、，用户可以根据实际部署需要，选择合适的接口模块及应用层功能模块，灵活拓展整机接口数量和应用层业务的处理能力。但由于产品定位的原因，当时发布的SG-6000系列产品的整机防火墙性能决定于单一的业务处理单元，还未能发挥出多核PlusG2架构的最大潜力。直到百G级别的X6150面世，山石网科才向我们展示了多核PlusG2架构的高极形态。在这款产品中，无论主控模块、安全服务模块还是接口模块，都是挂在交换核心上的同级节点。他们彼此间没有绝对的对应关系，也不存在任何扩展限制。安全服务模块依旧基于高性能多核处理器进行设计，多业务节点间完全并行工作，处理不同的数据流量。为最大化地提升分布式处理的执行

9、效率，X6150的接口模块上也都不惜成本地使用了单颗或多颗多核处理器，可以根据各安全服务模块的负载情况智能地进行流量分配，以达到理想的负载均衡效果。智能分布式处理也会带来一些额外的问题，由于数据流的去向存在不确定性，ALG等需要结合多条流进行处理的业务实现起来会变得比较麻烦。X6150在尽可能均衡地发送流量到不同安全服务模块的同时，也会将有业务相关性的会话分发到同一个安全服务模块进行处理，保证了数据转发的正确性。而对于QoS等更复杂的应用，该产品也继续提供独立业务模块形式的解决方案，在性能与实施成本之间找到合理的平衡。性能：挑战极限X6150的真实性能是所有测试工程师共同关心的话题，

10、我们依照RFC2544和RFC3511规范，对开启防火墙模块时的系统性能进行了完整考察。与以往不同的是，要测试这款产品的极限性能，必须根据实际情况动态调整模块的搭配策略。例如在吞吐量与延迟测试中，64、128、256Byte帧长时的测试流量并不大，我们采用了7个安全服务模块与3个万兆接口模块的搭配；而在512、1024、1280、1518Byte帧长的测试中，带宽方面的压力比较大，所以采用5个安全服务模块与5个万兆接口模块的搭配。从测试结果中可以看出，在路